GCP - Logging Post Exploitation
Основна інформація
Для отримання додаткової інформації перевірте:
GCP - Logging EnumДля інших способів порушення моніторингу перевірте:
GCP - Monitoring Post ExploitationЛогування за замовчуванням
За замовчуванням вас не спіймають лише за виконання дій читання. Для отримання додаткової інформації перевірте розділ Logging Enum.
Додавання виключеного Principal
У https://console.cloud.google.com/iam-admin/audit/allservices та https://console.cloud.google.com/iam-admin/audit можна додати principals, щоб не генерувати логи. Зловмисник може зловживати цим, щоб уникнути виявлення.
Читання логів - logging.logEntries.list
logging.logEntries.list
logging.logs.delete
logging.logs.delete
Записувати логи - logging.logEntries.create
logging.logEntries.create
logging.buckets.update
logging.buckets.update
logging.buckets.delete
logging.buckets.delete
Цей дозвіл дозволяє видаляти журнали з певного відра. Це може бути корисно для приховування слідів після виконання шкідливих дій.
logging.buckets.update
logging.buckets.update
Цей дозвіл дозволяє змінювати налаштування відра журналів. Це може бути використано для зміни політик збереження або інших налаштувань, щоб приховати шкідливу активність.
logging.logEntries.create
logging.logEntries.create
Цей дозвіл дозволяє створювати нові записи журналів. Це може бути використано для додавання фальшивих записів, щоб заплутати слідчих або приховати справжню активність.
logging.logEntries.delete
logging.logEntries.delete
Цей дозвіл дозволяє видаляти окремі записи журналів. Це може бути корисно для видалення слідів шкідливої активності.
logging.logEntries.list
logging.logEntries.list
Цей дозвіл дозволяє переглядати записи журналів. Це може бути корисно для збору інформації про систему та виявлення потенційних цілей для атак.
logging.logs.delete
logging.logs.delete
Цей дозвіл дозволяє видаляти цілі журнали. Це може бути використано для приховування слідів після виконання шкідливих дій.
logging.logs.list
logging.logs.list
Цей дозвіл дозволяє переглядати списки журналів. Це може бути корисно для збору інформації про систему та виявлення потенційних цілей для атак.
logging.sinks.create
logging.sinks.create
Цей дозвіл дозволяє створювати нові sinks для журналів. Це може бути використано для перенаправлення журналів до іншого місця, щоб приховати шкідливу активність.
logging.sinks.delete
logging.sinks.delete
Цей дозвіл дозволяє видаляти sinks для журналів. Це може бути корисно для видалення слідів шкідливої активності.
logging.sinks.update
logging.sinks.update
Цей дозвіл дозволяє змінювати налаштування sinks для журналів. Це може бути використано для зміни напрямку журналів, щоб приховати шкідливу активність.
logging.sinks.list
logging.sinks.list
Цей дозвіл дозволяє переглядати sinks для журналів. Це може бути корисно для збору інформації про систему та виявлення потенційних цілей для атак.
logging.exclusions.create
logging.exclusions.create
Цей дозвіл дозволяє створювати виключення для журналів. Це може бути використано для виключення певних типів записів журналів, щоб приховати шкідливу активність.
logging.exclusions.delete
logging.exclusions.delete
Цей дозвіл дозволяє видаляти виключення для журналів. Це може бути корисно для видалення слідів шкідливої активності.
logging.exclusions.update
logging.exclusions.update
Цей дозвіл дозволяє змінювати налаштування виключень для журналів. Це може бути використано для зміни політик виключення, щоб приховати шкідливу активність.
logging.exclusions.list
logging.exclusions.list
Цей дозвіл дозволяє переглядати виключення для журналів. Це може бути корисно для збору інформації про систему та виявлення потенційних цілей для атак.
logging.links.delete
logging.links.delete
logging.views.delete
logging.views.delete
Видалення журналів
Після отримання доступу до облікового запису GCP, зловмисник може захотіти видалити журнали, щоб приховати свої дії. Це можна зробити за допомогою дозволу logging.views.delete
.
Приклад
Ця команда видаляє вказаний журнал з проекту.
logging.views.update
logging.views.update
logging.logMetrics.update
logging.logMetrics.update
logging.logMetrics.delete
logging.logMetrics.delete
Опис
Видаляє метрику журналу.
Використання
Дозволи
Необхідні дозволи для виконання цієї команди:
logging.logMetrics.delete
Ролі
Наступні ролі містять необхідні дозволи:
roles/logging.admin
Примітка
Видалення метрики журналу може вплинути на моніторинг та оповіщення, які залежать від цієї метрики.
logging.sinks.delete
logging.sinks.delete
Цей дозвіл дозволяє видаляти існуючі sinks. Видалення sinks може бути корисним для приховування слідів, оскільки це зупиняє надсилання нових логів до певного місця призначення.
logging.sinks.update
logging.sinks.update
Цей дозвіл дозволяє оновлювати існуючі sinks. Оновлення sinks може бути корисним для зміни місця призначення логів, що може допомогти в приховуванні слідів.
logging.sinks.create
logging.sinks.create
Цей дозвіл дозволяє створювати нові sinks. Створення нових sinks може бути корисним для перенаправлення логів до місця, яке контролюється зловмисником.
logging.logs.delete
logging.logs.delete
Цей дозвіл дозволяє видаляти існуючі логи. Видалення логів може бути корисним для приховування слідів діяльності зловмисника.
logging.logEntries.create
logging.logEntries.create
Цей дозвіл дозволяє створювати нові записи логів. Створення нових записів логів може бути корисним для введення в оману або приховування слідів.
logging.logEntries.list
logging.logEntries.list
Цей дозвіл дозволяє перераховувати існуючі записи логів. Перерахування записів логів може бути корисним для отримання інформації про активність в системі.
logging.logMetrics.create
logging.logMetrics.create
Цей дозвіл дозволяє створювати нові метрики логів. Створення нових метрик логів може бути корисним для моніторингу специфічної активності.
logging.logMetrics.delete
logging.logMetrics.delete
Цей дозвіл дозволяє видаляти існуючі метрики логів. Видалення метрик логів може бути корисним для приховування специфічної активності.
logging.logMetrics.update
logging.logMetrics.update
Цей дозвіл дозволяє оновлювати існуючі метрики логів. Оновлення метрик логів може бути корисним для зміни способу моніторингу активності.
logging.sinks.update
logging.sinks.update
Last updated